Lek in macOS onthult je wachtwoorden

Veiligheidsonderzoeker Patrick Wardle stuitte op een gevaarlijke bug in macOS High Sierra. Het besturingssysteem bevat een fout waardoor hackers wachtwoorden kunnen stelen uit Keychain. Wardle merkte de fout op in High Sierra, de laatste nieuwe versie van macOS, maar vond de bug ook terug in Sierra en El Capitan.

Keychain

Keychain is ontwikkeld door Apple en wordt in macOS ingezet om gevoelige informatie te beheren en te beschermen. Het programma bewaart onder andere wachtwoorden, encryptiesleutels en betaalinformatie. Wardle ontdekt echter enkele gaten in de bescherming van het programma. Hij wist met die informatie een exploit op te zetten die de veiligheidsmechanismes van Keychain kan omzeilen en gewoon data uit de kluis kan plukken. “Ik ontdekte een zwakke plek waardoor kwaadaardige niet-gepriviligeerde code (of apps) programmatisch toegang kunnen krijgen tot de Keychain en al deze data kunnen dumpen…inclusief je plaintext wachtwoorden,” zegt Wardle.

Hoe gaat het in zijn werk? Het enige wat een hacker moet doen is je computer infecteren. Dit kan door de installatie van een programma, een geïnfecteerde e-mailbijlage of het klikken op de verkeerde knop in je browser. De hacker hoeft enkel de kans te krijgen om een stukje code op je computer uit te voeren. Dat is genoeg om toegang te krijgen tot Keychain en alle informatie te kopiëren. Apps met en zonder Apple-signatuur kunnen op deze manier binnen raken in het programma. De aanval is enkel mogelijk wanneer Keychain ontsloten is, wat standaard het geval is in macOS.

Timing

Wardle bracht Apple enkele weken geleden op de hoogte. Aangezien die timing te kort dag was om de fout nog op te lossen voor de uitrol van macOS High Sierra, is de bug op dit moment nog aanwezig in het systeem. Het bedrijf zou echter binnenkort met een patch komen. De veiligheidsonderzoeker raadt aan gebruikers aan om zo voorzichtig mogelijk te zijn om infecties te voorkomen. Een andere aanbeveling is om de optie uit te schakelen die ervoor zorgt dat Keychain automatisch wordt ontsloten wanneer je inlogt.